Вдобавок прослушка могла бы быть выявлена в процессе планового обновления программного обеспечения коммутаторов «АХЕ» или при установке «заплат». В этих случаях было принято сначала проверять все блоки, а уже потом устанавливать обновление или заплатку. Скорее всего, шпионское программное обеспечение модифицировало и команду, вычислявшую и выдававшую контрольные суммы блоков, и подмененные блоки выглядели вполне легально.
И наконец, злоумышленники модифицировали синтаксический анализатор команд коммутатора «АХЕ». В результате безобидные команды, за которыми следовало 6 пробелов, деактивировали запись в регистрационные журналы и аварийный сигнал, предупреждавший об этой деактивации, а также позволяли исполнять команды, связанные с управлением шпионским программным обеспечением. В системе также был заведен новый пользователь, с помощью которого злоумышленники могли регистрироваться в системе для получения к ней доступа.
Как же все-таки было обнаружено присутствие злоумышленников, если они замаскировали его столь искусно?
24 января 2005 года злоумышленники обновили свое шпионское программное обеспечение, установленное в сотовой сети компании «Водафон-Панафон». В результате возникли помехи доставке по назначению текстовых сообщений, что, в свою очередь, послужило причиной для автоматической генерации сообщения об ошибке. Последующий анализ дампов системы позволил выявить шпионское программное обеспечение вместе со списком телефонных номеров, которые подвергались незаконному прослушиванию. Методом обратного проектирования был восстановлен исходный код. Проведенный анализ показал высокую компетентность его авторов. За пятнадцать лет, предшествовавшие описываемым событиям, значительная часть программного обеспечения для коммутаторов «АХЕ» была написана программистами из греческой компании «Интраком» со штаб-квартирой в Афинах. Так что необходимые знания для написания шпионского программного обеспечения оказались в распоряжении немалого количества программистов, которые в разное время работали в компании «Интраком».
В ходе расследования выявить среди сотрудников компаний «Водафон-Панафон» и «Интраком» лиц, причастных к взлому сотовой сети компании «Водафон-Панафон», не удалось. Этот взлом вполне мог быть осуществлен посторонними людьми. Выяснилось, например, что перед тем, как произошел отказ подсистемы доставки текстовых сообщений, последний человек, который работал с коммутаторами «АХЕ», не являлся сотрудником компании «Водафон-Панафон» и его впустили внутрь по гостевому пропуску.